» »

Kraja gesel ambasade

Slo-Tech - Da je nerazumevanje delovanja in namena zaščitnih tehnologij lahko usodno, je pred kratkim dokazal švedski strokovnjak za računalniško varnost Dan Egerstad, ki je na različnih koncih sveta postavil štiri izhodne Tor točke in na njih prestrezal promet. Prestregel je tudi gesla nekaterih občutljivih ustanov, med drugim iranske, indijske, japonske, ruske in kazahstanske ambasade, britanskega in zunanjega ministra, nekaterih političnih strank, itd. Izkazalo se je, da uslužbenci teh ustanov pogosto uporabljajo povsem neustrezna gesla (recimo uslužbenci indijske ambasade "1234", uslužbenci mongolske ambasade "temp", itd.)

Namen "raziskave" je bil dokazati kaj lahko (in verjetno) počnejo tajne službe, saj med drugim Tor izhodne vzdržujejo sumljivi neznani posamezniki oz. organizacije. V Washingtonu je tako ista oseba oz. organizacija v Tor omrežje vključila več strežnikov s 5-10 TB podatkov mesečnega prometa, Tor točke vzdržujejo organizacije povezane z Rusko in Kitajsko vlado, itd..

Kaže je uporabil prestrezanje le za protokole POP3 in IMAP, ne pa tudi MITM napada za šifrirane seje, kot so nekateri domnevali. Očitno so celo uporabniki resnih državnih ustanov spregledali, da omrežje Tor ne nudi šifriranja, pač pa zgolj anonimizacijo, in da je za uporabo Tor omrežja potrebno pred tem uporabiti ostale mehanizme šifriranja podatkov (uporaba varnih protokolov, certifikatov in šifriranih programov za elektronsko pošto).

Dan Egerstad pravi, da verjetno ni bil edini, ki se je spomnil takšnega napada. Ne, res ni bil. Med prisluškovalci v Tor omrežju pa je skoraj gotovo tudi kakšna tajna služba...

15 komentarjev

Matevžk ::

Ja, slabost Tora. Pri (neizobraženem) uporabniku povzroči lažen občutek varnosti. Medtem, ko bi brez uporabe Tora ta gesla verjetno težko kdo prestregel (jasno, kakšna resna obveščevalna služba brez problema), pri uporabi Tora (če nisi previden) izpostaviš svoje podatke tretji osebi z neznanimi motivi ...
lp, Matevžk

Jumping Jack ::

Hvala, Matthai, tole je ena najbolj zanimivih novic ever!
Res da človeku misliti...

CaqKa ::

>>> Prestregel je tudi gesla nekaterih občutljivih ustanov, med drugim iranske, indijske, japonske, ruske in kazahstanske ambasade, britanskega in zunanjega ministra, nekaterih političnih strank, itd.
>>> Očitno so celo uporabniki resnih državnih ustanov spregledali, da omrežje Tor ne nudi šifriranja, pač pa zgolj anonimizacijo, i

zadeva ponuja anonimizacijo... kako d fak pa je ta tip potem ugotovil čigava so pripadajoča gesla?

Kostko ::

zadeva ponuja anonimizacijo... kako d fak pa je ta tip potem ugotovil čigava so pripadajoča gesla?

Po ciljnem naslovu mogoče ? Za exit node je anonimiziran samo vir requesta, če pa request vsebuje prijavo na poštni strežnik ambasade... ;)
Human stupidity is not convergent, it has no limit!

Zgodovina sprememb…

  • spremenil: Kostko ()

RejZoR ::

PWNED
Pa ne moreš met za password "1234". Take logine maš lahko samo na neobčutljivih, low privilege accountih kjer itaq nimaš kej delat tud če prideš not z geslom.
RejZoR's Flock of Sheep @ rejzor.wordpress.com

JohanP ::

Čakuka - Kakor razumem si znotraj TOR omrežja anonimen samo navzven. Upravnik TOR mreže lahko s tvojim podatkom počne kar se mu zahoče.

'FireSTORM' ::

rejzor, welcome to the real world.
Veliko ljudi uporablja gesla, aka: Janez1
Ali kaj podobnega.
Those penguins.... They sure aint normal....

CaqKa ::

nekak nima veze.. zvedlo se je komu je pripadalo eno geslo.

gzibret ::

Matthai - zanimiva novica. Sploh nisem pomislil na to, da bi lahko kake tajne službe naredile Tor točko in prestrezale promet. Bogi uporabnik izbere tor, ker je kao varen, in ravno na takšen način mu pokradejo podatke.

Svašta...
Vse je za neki dobr!

Liker ::

Glede na to cesa vse so razne obvescevalne sposobne, se sploh nebi cudil, ce se izkaze da so tor zasnovali (ali pa vsaj financirali razvoj) kar oni sami.
Namrec, kaj je lepsega, kot obljubljati anonimnost, kar definitivno privabi ljudi z obcutljivimi podatki, pa se lazen obcutek varnosti ustvaris, kar potem mocno olajsa zajem podatkov :)
www.firefoxmyths.com
Firefox - Buggier, Slower, Worse

Matthai ::

zadeva ponuja anonimizacijo... kako d fak pa je ta tip potem ugotovil čigava so pripadajoča gesla?

Preprosto. Treba je namreč vedeti kaj točno zadeva dela. Poglejmo si na sliki:



Alice bi se rada povezala na Jane. Če se poveže na klasičen način, lahko:
a) Jane vidi njen IP (s tem si Alice zagotovi anonimnost, sicer se nasproti Jane še vedno lahko avtenticira z u/p, vendar z avtentikacijo ne razkrije nujno tudi svoje identitete - recimo da uporablja Hotmail/Gmail account)
b) napadalec postavljen takoj za Alice vidi da se Alice povezuje na Jane.

Če pa gre Alice na Jane preko Tor omrežja:
a) napadalec, postavljen takoj za Alice NE VIDI kam gre Alice
b) Jane NE VIDI od kje je prišla Alice
c) TODA: tretja Tor točka na sliki lahko na izhodu vidi, da se NEKDO povezuje na Jane.

Zdaj pa imamo v primeru c) dve možnosti:
c1) Alice se na Jane povezuje preko šifriranega kanala (SSL / IMAPS / POP3S / VPN / SSH...): v tem primeru tretja Tor točka pač vidi da se je NEKDO povezal na Jane. Vidi lahko obseg prometa, vsebine pa ne.
c2) Alice se na Jane povezuje preko NEšifriranega kanala (IMAP / POP3 / telnet / http...): v tem primeru tretja Tor točka vidi VSEBINO PROMETA na Jane. Vidi lahko NEŠIFRIRANA GESLA, e-pošto, submittasne querye, itd.

Razumljivo?
Zloraba oblasti, avtokracija in tema nikoli ne pridejo hipoma, vedno je vmesno
obdobje mraĨenja, ko se dan preveťa v noĨ; biti moramo pozorni opazovalci
okolja in varuhi luĨi, da ne postanemo nemoĨni ujetniki teme. --W. Douglas

Zgodovina sprememb…

  • zavarovalo slike: gzibret ()

Matthai ::

Liker: Glede na to cesa vse so razne obvescevalne sposobne, se sploh nebi cudil, ce se izkaze da so tor zasnovali (ali pa vsaj financirali razvoj) kar oni sami.
Idejo onion routinga so dejansko zasnovali pri ameriški mornacrici. Rar tudi jasno piše na Tor spletni strani. Razvoj je potem zastal, in so ga prevzeli pri nevladni organizaciji EFF.

Namrec, kaj je lepsega, kot obljubljati anonimnost, kar definitivno privabi ljudi z obcutljivimi podatki, pa se lazen obcutek varnosti ustvaris, kar potem mocno olajsa zajem podatkov :)
Zadeva deluje zelo učinkovito, če jo le znaš uporabljati. Problem je, da večina ljudi zadeve ne razume in posledično ne zna uporabljat.

gzibret: Sploh nisem pomislil na to, da bi lahko kake tajne službe naredile Tor točko in prestrezale promet.
Jaz sem pa na to takoj pomislil. V bistvu sem se pogovarjal s profesorjem Viktorjem Mayerjemi-Schoenbergerjem iz Harvarda glede tega in mi je povedal naslednjo zanimivo štorijo:

"
...

At a 1996 conference here at Harvard indeed two speakers who worked for
and/or closely with the US government said "on the record" that government
agencies not just in the US but elsewhere as well run large remailers /
anonymizers around the world. They explicitly referred to anonymizing
remailers, not mail systems, and never mentioned hotmail.com or usa.net
(which makes sense because neither of them is a remailer). The statement was
made in public and I explicitly asked whether it was "on the record", to
which they said yes.

Later they publicly stated that the exchange never happened and the
statement was never made, but an official transcript of the Harvard
conference vindicates my version.

They also mentioned in response to a question on code breaking capabilities
by the US government that they themselves would use at least 1024 bit long
public key encryption to safeguard their own personal emails.

This is exactly what happened.

Hope this helps.

Best regards,
...
"

Zabavno, ne? 8-)
Zloraba oblasti, avtokracija in tema nikoli ne pridejo hipoma, vedno je vmesno
obdobje mraĨenja, ko se dan preveťa v noĨ; biti moramo pozorni opazovalci
okolja in varuhi luĨi, da ne postanemo nemoĨni ujetniki teme. --W. Douglas

MrStein ::

V nevidnem plašču prideš na pošto. Polno je še drugih strank.
Delavcu rečeš : "Jaz sem Franc X iz ulice Y itd. A mam kaj pošte ?"
Delavec : "Ja gospod X, od Fidel Castra, pravi, da njegov pes lepo okreva in sprašuje kdaj boste spet imeli čago v slovenski ambasadi."
itd...

Potem Franc pride domov in se čudi, kak neki so ugotovili kdo je in s kom se dopisuje. Če pa je bil neviden !
Teštiram če delaž - umlaut dela: ä ?

CaqKa ::

>>> Razumljivo?

TOR sam po sebi po defaultu ne ponuja enkripcije, torej v točki c2 ne ponuja anonimizacije.
razumljivo da.

Matthai ::

TOR sam po sebi po defaultu ne ponuja enkripcije, torej v točki c2 ne ponuja anonimizacije.
razumljivo da.


V bistvu ni čisto tako. Tor ponuja ekripcijo, VENDAR zgolj znotraj omrežja. Glede anonimizcije pa je treba razumeti KAJ je anonimizacija. Tor ponuja anonimizacijo prometnih podatkov. V primeru, ko je avtentikacija (username+password) enaka identifikaciji (username=moje_ime.priimek@organizacija) in
NE uporabljaš end-to-end šifriranja, pa anonimizacije na točki C3 ni.

Sicer napadalec ne more ugotoviti tvojega IPja -lahko pa prebere tvojo pošto. >:D
Zloraba oblasti, avtokracija in tema nikoli ne pridejo hipoma, vedno je vmesno
obdobje mraĨenja, ko se dan preveťa v noĨ; biti moramo pozorni opazovalci
okolja in varuhi luĨi, da ne postanemo nemoĨni ujetniki teme. --W. Douglas


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

Aretacija Dana Egerstada, ki je pred časom prestregel gesla številnih ambasad

Oddelek: Novice / Zasebnost
141861 (1861) Izi
»

Kraja gesel ambasade

Oddelek: Novice / Zasebnost
152866 (1930) Matthai
»

"TorButton" za brskalnik Safari

Oddelek: Novice / Zasebnost
92550 (2078) FireSnake
»

Snakes On A Tor

Oddelek: Novice / Zasebnost
113348 (2660) jype
»

Nadzor Tor izhodnih točk (strani: 1 2 )

Oddelek: Novice / Zasebnost
756570 (5106) Matthai

Več podobnih tem